标签: Windows

Google 研究员披露 Windows 10 0day 漏洞

安全研究员 Tavis Ormandy‏ 是谷歌 “Project Zero” 团队的一员,负责寻找 0day 漏洞。他公开了一个可利用的 Windows 漏洞,目前,微软仍处于修复过程中。 Tavis Ormandy 发推文说他已经发现了 Windows 核心加密库的安全问题,“微软承诺在 90 天内修复它,结果没有”。于是在第 91 天,Ormandy 选择了公开这个漏洞。 该漏洞实际上是 SymCrypt 中的一个错误,SymCrypt 是负责在 Windows 10 中实现非对称加密算法和在 Windows 8 中实现对称加密算法的核心加密库。Ormandy 发现,通过使用格式错误的数字证书,他可以强迫 SymCrypt 计算进入无限循环。这将有效地对 Windows 服务器执行拒绝服务(DoS)攻击,例如,运行使用 VPN 或 Microsoft Exchange Server 进行电子邮件和日历时所需的 IPsec 协议的服务。 Ormandy 还指出,“许多处理不受信任内容的软件(如防病毒软件)会在不受信任的数据上调用这些例程,这将导致它们陷入僵局。” 不过,他还是将其评为低严重性漏洞,同时补充说,该漏洞可以让人相对轻松地拆除整个 Windows 机群,因此值得注意。 Ormandy 发布的公告提供了漏洞的详细信息,以及可能导致拒绝服务的格式错误的证书示例。 如前所述,Project Zero 有 90 天的披露截止日期。Ormandy 于 3 月 13 日首次报告此漏洞,然后在 3 月 26 日,微软确认将发布安全公告,并在 6 月 11 日的 Patch Tuesday 中对此进行修复。Ormandy 认为,“这是 91 天,但在延长期内,所以它是可以接受的。” 6 月 11 日,微软安全响应中心(MSRC)表示“该修补程序今天不会发布,并且由于测试中发现问题,在 7 月发布之前也不会修补好”,于是 Ormandy 公开了这个漏洞。 公开的漏洞地址:https://bugs.chromium.org/p/project-zero/issues/detail?id=1804 消息来源:Forbes   (稿源:开源中国,封面源自网络。)

时隔两周 仍有百万级联网设备未打上微软 BlueKeep 漏洞补丁

外媒 Threat Post 报道称,有研究人员发现,互联网上有百万级设备易受微软 BlueKeep 漏洞的影响,或为 WannaCry 之类的攻击敞开大门。据悉,该漏洞编号为 CVE-2019-0708,但微软已在本月早些时候的星期二补丁(Security Bulletin)中修复。遗憾的是,尽管系统管理员被要求尽快修复,但还是有大量设备暴露在公共互联网上。 (图自 @GreyNoiseIO,via Threat Post)   Errata Security 研究员 Robert Graham 周二警告称,经过分析,目前公网上仍有 100 万台左右的设备易受这个严重漏洞的影响。 受威胁的设备,很容易成为 WannaCry 之类的网络攻击的受害者。更糟糕的是,上周末的检测表明,专门针对这类系统的恶意扫描数量出现了激增。 据悉,微软 Windows 操作系统中的远程桌面服务,存在着重大的远程代码执行缺陷。其影响包括 Windows 7 / XP、Server 2003 / 2008 等在内的诸多版本。 (本次威胁影响大约 95 万台暴露于公网上的计算机)   因担心黑客已经熟练掌握勒索技能,BlueKeep 漏洞或引发又一轮严重的攻击。微软这次还是破例为 Windows XP / Server 2003 提供了星期二补丁。 WannaCry / NotPetya 引发的骚乱,并没有多去多久。而这次曝出的 BlueKeep 漏洞,有些类似于 2017 年快速传播的恶意攻击所使用的 EternalBlue 漏洞。 Ivanti 安全产品管理总监 Chris Goettl 亦在周二表示:“本次曝出的 BlueKeep 漏洞具有在全球范围内掀起另一轮 WannaCry 级别的恶意攻击的潜力”。 (3389 端口原本旨在提供可靠的远程桌面通信协议)   借助 Masscan Internet 等工具,Errata Security 的 Graham 对公网上的 3389 规模进行了大范围扫描,发现漏洞影响将近百万台设备,而黑客有可能在未来一两个月造成严重的破坏。 据悉,受影响的机器包括西门子的一些医疗设备,比如面向放射肿瘤科、实验室诊断、射线成像、医疗点诊断等应用的产品。 为此,西门子建议尽快为潜在受影响的设备打上补丁,并在必要时直接禁用 3389 端口的远程桌面连接(RDP)功能。   (稿源:cnBeta,封面源自网络。)

【再次预警】CVE-2019-0708 Windows 远程桌面服务远程代码执行漏洞预警通告及解决方案

2019年5月15日,微软官方发布5月安全补丁更新共修复了82个漏洞,其中包含一个针对远程桌面服务(RDP)的远程代码执行漏洞(编号为CVE-2019-0708 ),攻击者可以利用此漏洞远程发送构造特殊的恶意数据在目标系统上执行恶意代码,无需用户验证即可以实现目标机器的完全控制权。 此漏洞影响Windows XP、Window 2003、Windows 7、Window Server 2008系列操作系统。由于该漏洞影响及危害巨大,根据微软安全响应中心( MSRC )发布的博客文章提醒该漏洞有被蠕虫病毒利用再次导致WannaCry类似全球事件可能。 随后知道创宇404实验室及产品相关团队第一时间发布了漏洞预警及解决方案并密切关注该漏洞利用演变及进展,目前可确定部分安全研究机构及个人宣称已经复现并实现了远程真实利用程序。在此,我们再次预警提醒广大用户注意防御,及时更新修复该漏洞规避安全风险。 漏洞影响: 受影响系统及版本 ● Windows  7 for 32-bit Systems Service Pack 1 ● Windows  7 for x64-based Systems Service Pack 1 ● Windows  Server 2008 for 32-bit Systems Service Pack 2 ● Windows  Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation) ● Windows  Server 2008 for Itanium-Based Systems Service Pack 2 ● Windows  Server 2008 for x64-based Systems Service Pack 2 ● Windows  Server 2008 for x64-based Systems Service Pack 2 (Server Core installation) ● Windows  Server 2008 R2 for Itanium-Based Systems Service Pack 1 ● Windows  Server 2008 R2 for x64-based Systems Service Pack 1 ● Windows  Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core  installation) 需要注意的是: Windows 8 和 Windows 10 及之后版本的用户不受此漏洞影响。 网络空间影响: 知道创宇旗下网络空间搜索引擎ZoomEye 通过 app:”Microsoft Terminal Service” 查询到,截至目前全球有7,824,306条微软远程桌面服务对外开放的记录,主要分布在美国(2093963)及中国(1777045):   解决方案 漏洞检测方案: 1、目前知道创宇SeeBug漏洞平台推出了基于PocSuite框架的漏洞远程无害扫描检测程序(免费):https://www.seebug.org/vuldb/ssvid-97954。   2、使用知道创宇网络空间安全资产管理系统ZoomEye BE 进行内部资产普查及时发现并修复漏洞。   漏洞修复及拦截方案: 1、参考微软官方安全通告下载并安装最新补丁: https://support.microsoft.com/zh-cn/help/4500705/customer-guidance-for-cve-2019-0708 https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0708   补丁下载链接: ● Windows 7 x86 http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/05/windows6.1-kb4499175-x86_6f1319c32d5bc4caf2058ae8ff40789ab10bf41b.msu ● Windows 7 x64 http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/05/windows6.1-kb4499175-x64_3704acfff45ddf163d8049683d5a3b75e49b58cb.msu ● Windows Embedded  Standard 7 for x64 http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/05/windows6.1-kb4499175-x64_3704acfff45ddf163d8049683d5a3b75e49b58cb.msu ● Windows Embedded  Standard 7 for x86 http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/05/windows6.1-kb4499175-x86_6f1319c32d5bc4caf2058ae8ff40789ab10bf41b.msu ● Windows Server 2008  x64 http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/05/windows6.0-kb4499149-x64_9236b098f7cea864f7638e7d4b77aa8f81f70fd6.msu ● Windows Server 2008  Itanium http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/05/windows6.0-kb4499180-ia64_805e448d48ab8b1401377ab9845f39e1cae836d4.msu ● Windows Server 2008  x86 http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/05/windows6.0-kb4499149-x86_832cf179b302b861c83f2a92acc5e2a152405377.msu ● Windows Server 2008 R2  Itanium http://download.windowsupdate.com/c/msdownload/update/software/secu/2019/05/windows6.1-kb4499175-ia64_fabc8e54caa0d31a5abe8a0b347ab4a77aa98c36.msu ● Windows Server 2008 R2  x64 http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/05/windows6.1-kb4499175-x64_3704acfff45ddf163d8049683d5a3b75e49b58cb.msu ● Windows Server 2003  x86 http://download.windowsupdate.com/d/csa/csa/secu/2019/04/windowsserver2003-kb4500331-x86-custom-chs_4892823f525d9d532ed3ae36fc440338d2b46a72.exe ● Windows Server 2003  x64 http://download.windowsupdate.com/d/csa/csa/secu/2019/04/windowsserver2003-kb4500331-x64-custom-chs_f2f949a9a764ff93ea13095a0aca1fc507320d3c.exe ● Windows XP SP3 http://download.windowsupdate.com/c/csa/csa/secu/2019/04/windowsxp-kb4500331-x86-custom-chs_718543e86e06b08b568826ac13c05f967392238c.exe ● Windows XP SP2 for x64 http://download.windowsupdate.com/d/csa/csa/secu/2019/04/windowsserver2003-kb4500331-x64-custom-enu_e2fd240c402134839cfa22227b11a5ec80ddafcf.exe ● Windows XP SP3 for XPe http://download.windowsupdate.com/d/csa/csa/secu/2019/04/windowsxp-kb4500331-x86-embedded-custom-chs_96da48aaa9d9bcfe6cd820f239db2fe96500bfae.exe ● WES09 and POSReady  2009 http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/04/windowsxp-kb4500331-x86-embedded-chs_e3fceca22313ca5cdda811f49a606a6632b51c1c.exe   2、启用知道创宇联合腾讯研发的终端安全产品:御点终端安全管理系统,提供一键修复、针对没办法打补丁重启的设备并提供无补丁漏洞防御。     如有更多疑问,可向知道创宇寻求技术支持,联系电话:400-060-9587

数据揭示 Windows 漏洞的实际破坏性正在降低

昨天Matt Miller在Blue Hat的演讲中披露了一些惊人的统计数据。根据微软安全响应中心收集的数据,这些数字清楚地证实了我们多年来一直在说的话:与在现实中遭遇破坏的方式相比,将Windows和Office补丁推迟长达30天而受到恶意软件攻击的可能性微乎其微。 他演讲的幻灯片显示了安全漏洞的数量(通过CVE测量)如何突飞猛进 – 漏洞数量在过去五年中翻了一番 – 但实际被披露在外的违背修补的漏洞数量却下降了一半。 这证明了安全社区的侦察能力在提升,此外微软改进的安全功能 – DEP,ASLR和改进的沙盒这些存在技术运行良好。在过去的几年中,分发补丁的30天内,被利用的漏洞只有2%到3%,在补丁可用的30天内发布非零日漏洞的现象现在并不常见。 这意味着恶意软件世界正在变得越来越复杂:坏人要0day漏洞,而不是已经被修补的安全漏洞。   稿源:cnBeta,封面源自网络;

TrickBot 银行木马开始窃取 Windows 问题历史记录

据外媒 bleepingcomputer 报道,最近监测到一个版本的 TrickBot 显示出了它对一些特有数据的兴趣:Windows 系统可靠性和性能信息。 微软在 Windows 操作系统上运行可靠性分析组件(RAC),为可靠性监测提供有关软件安装、升级、操作系统和应用程序错误以及硬件相关问题的详细信息。为此,它每小时使用 RACAgent 计划任务,并将所有数据转储到本地文件夹。用户可以从任务计划进程中禁用这些详细信息的收集,但这样就不能再获得可靠性监测的系统稳定性索引。 网络钓鱼活动揭示了 TrickBot 的新兴趣 My Online Security 对网络钓鱼活动的分析显示,本周发现的 TrickBot 变体主要集中在读取和获取操作系统可靠性数据库以及C:\ ProgramData \ Microsoft \ RAC \下的可用信息。 安全研究员  詹姆斯  在 Twitter 上发布了该恶意软件搜索到的文件列表: Exfiltrated Data 目前还不清楚这类数据会对黑客有什么好处,但它可以用于恶意目的,例如更好地定位钓鱼邮件。 TrickBot 通过虚假 Lloyds 银行电子邮件传播 该网络钓鱼活动使用虚假的 Lloyds 银行邮件地址’donotreply@lloydsbankdocs.com’传播 TrickBot,这很容易被误以为真。钓鱼者伪造邮件信息,诱使潜在受害者打开包含恶意宏的附加文档。一旦受害者打开文档,宏代码将下载并执行 TrickBot。 网络钓鱼电子邮件 附在钓鱼邮件上的 Office Word 文档包含 Lloyds 银行的文档页头,使其看起来更加真实。此外,黑客还添加了赛门铁克徽标,让恶意文件看起来通过了安全解决方案的验证。 尽管黑客努力隐藏其恶意性质,但该文件目前至少被 VirusTotal 上的 30 个防病毒引擎检测到。   消息来源:bleepingcomputer,编译:吴烦恼; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

黑客在 Windows 安装文件中隐藏加密货币挖掘恶意软件

安全研究人员表示,黑客现在伪装加密货币挖掘恶意软件,并将其作为合法的 Windows 安装包传递出去。研究人员表示,这种恶意软件,通常被称为 Coinminer,使用了一系列混淆方法,使其攻击特别难以检测。 这一发现来自安全公司趋势科技(Trend Micro),它表示,恶意软件作为 Windows Installer MSI 文件到达受害者的计算机上,这是值得注意的,因为 Windows Installer 是用于安装软件的合法应用程序。使用真正的 Windows 组件使其看起来不那么可疑,并可能允许它绕过某些安全过滤器。 黑客的诡计并不止于此。研究人员指出,一旦安装,恶意软件目录包含充当诱饵的各种文件。除此之外,安装程序还附带了一个脚本,可以杀掉在受害者电脑上运行的任何反恶意软件进程,以及受害者自己的加密货币挖掘模块。 研究人员还观察到,恶意软件具有内置的自毁机制,使检测和分析更加困难,它会删除其安装目录下的每个文件,并删除系统中的任何安装痕迹。虽然趋势科技还无法将攻击链接定位到特定国家/地区,但它注意到安装程序使用了西里尔语。平心而论,西里尔语似乎在加密货币罪犯中非常受欢迎。     稿源:cnBeta,封面源自网络;  

又一 Windows 的 0day 漏洞在 Twitter 上被公开

微软Windows最近麻烦不断,“bug 10”问题让人哭笑不得的同时,一个真正的威胁又出现了。新的0day漏洞已经被披露,会影响所有最近的Windows版本,包括Windows 10。用户名“SandboxEscaper”的研究人员在Twitter和GitHub上分享了概念证明(Proof of Concept),确认此漏洞存在。 根据研究人员的报告,最新的Windows零日漏洞影响了微软数据共享组件(dssvc.dll),这是一种在应用程序之间提供数据代理的本地服务。 该漏洞影响Windows操作系统,包括Windows 10(安装最新的被戏称为“bug 10”的2018年10月更新同样未能幸免),更重要的是,运行角色重要得多的Windows Server 2016,甚至是新的Server 2019也在受影响之列。 ACROS Security的联合创始人兼首席执行官Mitja Kolsek警告用户不要因为好奇而在生产环境中运行这个PoC,因为它会删除Windows文件并需要用户运行系统还原来修复它,最好的方法就是等待微软修补这个漏洞。   稿源:cnBeta,封面源自网络;

用于崩溃多数最新 Windows 版本的 POC 代码已发布

近日,一名罗马尼亚硬件专家在 GitHub 上发布了能立即崩溃多数 Windows 版本的 POC 代码,即使计算机处于锁定状态也能在几秒钟内崩溃。据悉,该 PoC 利用了微软处理 NTFS 文件系统映像时存在的一个漏洞,该漏洞由 Bitdefender 公司的研究员 Marius Tivadar 发现。 NTFS 漏洞和 Windows autoplay 功能不完全兼容 该 POC 中包含了一个格式错误的 NTFS 映像,用户可以提取该映像并将其放在 U 盘中。当 Windows 计算机中插入了该U盘后,系统会在几秒内崩溃,导致死机蓝屏(BSOD)。 Tivadar 在详细说明该漏洞情况及其影响时指出,Windows autoplay 功能被默认激活。即使它被禁用,当文件被访问时,系统也会崩溃。例如,当 Windows Defender 扫描或使用其它工具打开 U 盘时就能够导致系统崩溃。 微软拒绝修复 其实 Tivadar 早在 2017 年 7 月就此问题与微软联系,但是微软拒绝将此问题归类为安全漏洞。微软降低了该漏洞的严重程度,因为他们认为利用漏洞需要物理访问或社交工程(指欺骗用户)。 不过 Tivadar 并不同意微软方面的解释。他指出,物理访问不一定是必需的,因为攻击者可以使用恶意软件远程部署 POC。 NTFS 漏洞也会导致锁定的 PC 崩溃 Tivadar 认为 NTFS 漏洞比微软认为的更危险,因为它也可以在 PC 锁定的情况下工作。Tivadar 表示操作系统不应该从插入端口的随机 U盘中读取数据。一般来说,当系统被锁定并且外部设备插入机器时,不应该加载驱动程序和执行代码。 完整 POC: 《 PoC for a NTFS crash that I discovered, in various Windows versions 》 消息来源:bleepingcomputer,编译:榆榆,审核:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

美国国防部:Windows 10 迁移工作已接近尾声

美国国防部(DoD)4 日表示 Windows 10 的升级工作已经接近尾声,目前机构内大部分设备已经完成升级,只有少量几个办公室还没有完成。2016 年 2 月,美国国防部宣布和微软开展合作,将机构内的设备升级至 Windows 10,原定目标在 2017 年年初完成,但由于牵涉的设备数量和基础设施过于庞大和复杂,日前曾宣布于 2018 年 3 月 31 日完成迁移。 美国国防部首席信息官 Essye Miller 表示整个升级过程极具挑战性,但是并未对外披露具体的细节。Miller 表示:“除了少数办公室之外,机构大部分已经完成升级。今天早上,我们和副国务卿为那些辛苦工作的人一起庆祝。这真的是一段非常漫长的旅程啊。” 稿源:cnBeta,封面源自网络

黑客可利用 Windows 远程协助窃取敏感文件

Trend Micro 0-day 计划的研究人员发现微软的 Windows 远程协助(快速访问)功能出现严重的信息披露漏洞(CVE-2018-0878),影响目前为止所有版本的 Windows,Windows 10、 8.1、 RT 8.1 以及 7 都包括在内。利用这个漏洞,远程攻击者可以窃取目标计算机中的敏感文件。 Windows 远程协助是微软的内置工具,利用这个工具,用户与信任的人之间可以相互接管对方的计算机。这个功能原本是借由远程桌面协议(RDP)实现的。 目前,在微软 3 月份的修复日中,这个漏洞已经被修复,用户可以尽快下载补丁,更新修复。 稿源:FreeBuf,封面源自网络;